CVE-2025-14870は、GitLab CE/EEにおけるサービス拒否(DoS)脆弱性です。この脆弱性により、認証されていないユーザーは、特別に細工されたJSONペイロードを送信することで、GitLabインスタンスをダウンさせたり、リソースを枯渇させたりする可能性があります。影響を受けるバージョンはGitLab 18.5.0から18.11.3までの範囲です。この問題はGitLab 18.11.3で修正されました。
影響と攻撃シナリオ
攻撃者は、このDoS脆弱性を悪用して、GitLabインスタンスを長時間利用不能にしたり、重要なサービスを中断させたりする可能性があります。これにより、ビジネスの中断、データ損失、評判の低下につながる可能性があります。攻撃者は、大量のリクエストを送信したり、リソースを大量に消費するJSONペイロードを送信したりすることで、GitLabインスタンスを過負荷状態にすることができます。この脆弱性は、特に重要なアプリケーションやサービスをホストしているGitLabインスタンスにとって、重大なリスクとなります。
悪用の状況
この脆弱性は、現時点では公開されているエクスプロイトコードが存在します。攻撃者による悪用が懸念されます。NVDおよびCISAの公開日は2026年5月14日です。この脆弱性は、他のDoS攻撃と同様の攻撃パターンを示す可能性があります。
脅威インテリジェンス
エクスプロイト状況
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- なし — 機密性への影響なし。
- Integrity
- なし — 完全性への影響なし。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
この脆弱性への主な対策は、GitLabをバージョン18.11.3以降にアップグレードすることです。アップグレードがシステムに影響を与える場合は、一時的に以前の安定バージョンにロールバックすることを検討してください。APIレート制限を導入し、特定のAPIエンドポイントへのリクエスト数を制限することで、攻撃のリスクを軽減できます。また、入力検証を強化し、悪意のあるJSONペイロードを検出およびブロックすることで、攻撃のリスクを軽減できます。アップグレード後、APIエンドポイントのパフォーマンスを監視し、異常なアクティビティがないか確認してください。
修正方法翻訳中…
Actualice GitLab a la versión 18.9.7 o posterior, 18.10.6 o posterior, o 18.11.3 o posterior para mitigar la vulnerabilidad. Esta actualización aborda la falta de validación de entrada que permitía a usuarios no autenticados causar una denegación de servicio a través de payloads JSON maliciosos.
よくある質問
CVE-2025-14870 — DoS in GitLabとは何ですか？
CVE-2025-14870は、GitLab CE/EEにおいて、認証されていないユーザーがDoS攻撃を引き起こすことができるサービス拒否(DoS)脆弱性です。
CVE-2025-14870 in GitLabで影響を受けていますか？
GitLabのバージョンが18.5.0–18.11.3の範囲にある場合は、影響を受けている可能性があります。バージョン18.11.3以降にアップグレードしてください。
CVE-2025-14870 in GitLabを修正するにはどうすればよいですか？
GitLabをバージョン18.11.3以降にアップグレードしてください。APIレート制限を導入することも有効です。
CVE-2025-14870は積極的に悪用されていますか？
現時点では公開されているエクスプロイトコードが存在するため、悪用される可能性があります。
CVE-2025-14870に関するGitLabの公式アドバイザリはどこで入手できますか？
GitLabのセキュリティアドバイザリページで確認できます: [https://gitlab.com/security/security-advisories](https://gitlab.com/security/security-advisories)
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...